静态代码分析 (SAST)

nccgroup/ncccodenavi

NCC 代码导航器

owasp/secure-coding-practices-quick-reference-guide

来自 OWASP 的安全编码实践快速参考指南

iqtlabs/auraborealisapp

你知道你的 Python 包里有什么吗？一个用于可视化 Python 包注册表安全审计数据的工具

0p4n1k/noctyra

基于AST的Python代码转换与反混淆框架

tai-e/cve-2021-44228

利用 Tai-e 识别 Log4shell（又名 CVE-2021-44228）漏洞

sudo-wp/sudowp-hooks-visualizer

一个安全加固版的 "Simply Show Hooks" 分支。替换了被入侵的原版（CVE-2024-6297）并修补了未列出的跨站脚本（XSS）漏洞。

bk-security/auth-header-trust-rules

用于标记 header-trust 认证绕过模式（CVE-2025-29927 类）的 Semgrep 规则。与 bk-security.github.io 配套使用。

squid-protocol1/gitgalaxy

免 AST 的启发式知识图谱引擎，用于深度仓库智能分析和零信任安全扫描。可作为 GitLab CI/CD 组件集成，阻止恶意代码，并将 SARIF 遥测数据导出至 GitLab Security Dashboard。

aftermathlabs/vmp2

使用基于仿真的 VM 探索器、处理程序分析器以及用于去虚拟化的实验性 LLVM 重编译器，解包并去混淆受 VMProtect 2 保护的二进制文件。

luiscastellanos-dev/cobol-shield

Security hardening toolkit for COBOL legacy systems — invisible Unicode detection, format boundary analysis, source transformation integrity

feeicn/cobra

Source Code Security Audit (源代码安全审计)

tencent/codeanalysis

企业级静态代码分析平台，支持多语言、安全漏洞检测、代码质量度量以及DevOps集成，实现持续监控。

wireghoul/graudit

grep rough audit - 源代码审计工具

mgechev/ngrev

用于对Angular应用程序进行逆向工程的工具

cc1a2b/jshunter

jshunter 是一款命令行工具，专为分析 JavaScript 文件并提取端点而设计。该工具专注于识别敏感数据，例如 API 端点和潜在的安全漏洞，使其成为渗透测试人员和漏洞赏金猎人的必备资源。

makenowjust-labs/recheck

用于检测JavaScript和Scala代码库中ReDoS（正则表达式拒绝服务）漏洞的静态分析工具，提供可信赖的正则表达式安全检查。